Verzeichnis von Verarbeitungstätigkeiten: Was kommt da rein? – VVT Teil 2

Zuletzt aktualisiert am 1. Juni 2026

Die Datenschutz-Grundverordnung sieht vor, dass Unternehmer ein Verzeichnis von Verarbeitungstätigkeiten (VVT) führen müssen (Art. 30 DSGVO). In diesem zweiten Teil unserer VVT-Serie erfahren Sie ausführlich und praxisnah, wie der konkrete Inhalt eines VVT aussehen muss, welche Angaben zwingend erforderlich sind und welche typischen Fehler bei der Erstellung vermieden werden sollten. Lesen Sie auch den ersten Teil der VVT-Serie zur grundsätzlichen Pflicht, ein VVT zu führen.

Wie ist ein VVT grundsätzlich aufgebaut?

Die Pflicht, ein VVT zu führen, wird in Art. 30 DSGVO festgehalten, der auch die Mindestinhalte des Verzeichnisses abschließend definiert. Das Verzeichnis bildet den wichtigen Kern jedes funktionierenden Datenschutzmanagementsystems (DSMS) und ermöglicht eine vollständige und strukturierte Übersicht über alle in einem Unternehmen stattfindenden Verarbeitungen personenbezogener Daten. Dadurch können sowohl die Unternehmensleitung als auch der Datenschutzbeauftragte und die zuständigen Aufsichtsbehörden jederzeit nachvollziehen, welche Daten zu welchen Zwecken, auf welcher Rechtsgrundlage und mit welchen technischen und organisatorischen Schutzmaßnahmen verarbeitet werden.

Das VVT ist dabei kein starres und einmaliges Dokument, sondern muss als lebendes Dokument verstanden und gepflegt werden, das kontinuierlich aktualisiert und an die tatsächlichen Verarbeitungsprozesse im Unternehmen angepasst wird. Jede Änderung an bestehenden Verarbeitungstätigkeiten – etwa die Einführung eines neuen IT-Systems, die Beauftragung eines neuen Auftragsverarbeiters oder die Änderung des Verarbeitungszwecks – muss zeitnah im VVT dokumentiert werden. Ein veraltetes oder unvollständiges VVT kann im Falle einer behördlichen Kontrolle oder eines Datenschutzvorfalls zu erheblichen rechtlichen und finanziellen Nachteilen für das Unternehmen führen.

Die Pflichtangaben nach Art. 30 Abs. 1 DSGVO im Detail

Art. 30 Abs. 1 DSGVO listet die Mindestangaben auf, die das Verzeichnis des Verantwortlichen für jede einzelne Verarbeitungstätigkeit zwingend enthalten muss. Diese Angaben müssen vollständig, aktuell, korrekt und nachvollziehbar dokumentiert werden.

Name und Kontaktdaten des Verantwortlichen

An erster Stelle muss das VVT den Namen und die vollständigen Kontaktdaten des datenschutzrechtlich Verantwortlichen enthalten. Bei einem Unternehmen ist dies in der Regel die juristische Person selbst, also beispielsweise die GmbH oder AG mit ihrer Firma, Anschrift und den Kontaktdaten der gesetzlichen Vertreter. Sofern ein gemeinsam Verantwortlicher im Sinne des Art. 26 DSGVO existiert, sind auch dessen Angaben aufzunehmen. Verfügt das Unternehmen über einen Datenschutzbeauftragten – sei es ein interner oder ein externer Datenschutzbeauftragter –, sind dessen Name und Kontaktdaten ebenfalls im VVT anzugeben.

Zwecke der Verarbeitung

Für jede einzelne im VVT dokumentierte Verarbeitungstätigkeit muss der konkrete Verarbeitungszweck präzise, verständlich und vollständig angegeben werden. Dabei ist es wichtig, die Zwecke so konkret und spezifisch wie möglich zu formulieren und nicht auf pauschale oder vage Beschreibungen zurückzugreifen. Statt einer allgemeinen Angabe wie „Personalverwaltung“ sollten die einzelnen Teilzwecke differenziert benannt werden, etwa „Durchführung der monatlichen Lohn- und Gehaltsabrechnung“, „Führung der digitalen Personalakten“, „Verwaltung und Abrechnung von Urlaubsansprüchen und Krankheitszeiten“ oder „Durchführung des betrieblichen Eingliederungsmanagements nach Paragraph 167 Abs. 2 SGB IX“.

Kategorien betroffener Personen und Datenkategorien

Das VVT muss eine klare und vollständige Beschreibung der Kategorien betroffener Personen enthalten – also derjenigen Personengruppen, deren personenbezogene Daten im Rahmen der jeweiligen Verarbeitungstätigkeit verarbeitet werden. Typische Kategorien betroffener Personen in einem Unternehmen sind etwa Beschäftigte und Bewerber, Kunden und Interessenten, Lieferanten und Geschäftspartner, Websitebesucher oder Newsletter-Abonnenten. Ebenso müssen die verarbeiteten Datenkategorien für jede Verarbeitungstätigkeit dokumentiert werden, beispielsweise Stammdaten (Name, Adresse, Geburtsdatum), Kontaktdaten (Telefon, E-Mail), Vertragsdaten, Zahlungsdaten, Beschäftigungsdaten, Gesundheitsdaten oder Kommunikationsdaten.

Kategorien von Empfängern und Drittlandtransfers

Im VVT müssen alle Kategorien von Empfängern aufgelistet werden, denen die personenbezogenen Daten im Rahmen der jeweiligen Verarbeitungstätigkeit offengelegt werden oder werden können. Dazu gehören insbesondere Auftragsverarbeiter wie externe IT-Dienstleister, Cloud-Anbieter und Hosting-Provider, Steuerberater und Wirtschaftsprüfer, Sozialversicherungsträger und Finanzbehörden, Inkassounternehmen, Auskunfteien und weitere Empfänger. Werden personenbezogene Daten an Empfänger in Drittländern außerhalb der EU oder des EWR übermittelt, muss dies im VVT besonders detailliert dokumentiert werden – einschließlich der Angabe des konkreten Drittlandes und der verwendeten Garantie nach Art. 46 DSGVO wie Standardvertragsklauseln oder Angemessenheitsbeschlüsse.

Löschfristen und technisch-organisatorische Maßnahmen

Für jede Verarbeitungstätigkeit sind die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien anzugeben, soweit dies möglich ist. Da die konkreten Löschfristen von verschiedenen gesetzlichen Aufbewahrungspflichten abhängen – etwa den handels- und steuerrechtlichen Aufbewahrungsfristen von sechs und zehn Jahren nach HGB und AO –, empfiehlt es sich, ein differenziertes Löschkonzept zu entwickeln, das die verschiedenen Fristen für die unterschiedlichen Datenkategorien systematisch abbildet und dessen Ergebnisse im VVT referenziert werden. Schließlich verlangt Art. 30 Abs. 1 lit. g DSGVO eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DSGVO, also der implementierten Sicherheitsmaßnahmen wie Verschlüsselung, Zugangskontrolle, Pseudonymisierung, Backup-Konzept und Notfallmanagement.

Rechtsgrundlage und Berechtigtes Interesse dokumentieren

Obwohl Art. 30 DSGVO die Angabe der Rechtsgrundlage nicht ausdrücklich als Pflichtangabe im VVT vorschreibt, empfehlen die Datenschutzaufsichtsbehörden in Deutschland und Europa nachdrücklich, für jede Verarbeitungstätigkeit die jeweils einschlägige Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO im VVT zu dokumentieren. Dies dient der Nachweispflicht des Verantwortlichen nach Art. 5 Abs. 2 DSGVO (Accountability-Prinzip) und erleichtert die Beantwortung von Auskunftsersuchen betroffener Personen erheblich. Wird eine Verarbeitung auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO gestützt, sollte auch die durchgeführte Interessenabwägung zumindest in ihren wesentlichen Erwägungsgründen im VVT oder einem referenzierten Begleitdokument festgehalten werden.

Praktische Tipps für die Erstellung und Pflege des VVT

Bei der praktischen Erstellung eines VVT empfiehlt es sich, zunächst alle im Unternehmen stattfindenden Verarbeitungstätigkeiten systematisch zu identifizieren und zu erfassen. Dies geschieht am effektivsten durch strukturierte Interviews mit den Leitungen aller Abteilungen und Geschäftsbereiche, die Auswertung der bestehenden IT-Systemlandschaft und der eingesetzten Softwareanwendungen, die Sichtung bestehender Verträge mit Auftragsverarbeitern und Dienstleistern sowie die Analyse der Datenflüsse innerhalb des Unternehmens und zu externen Empfängern. Das VVT kann in verschiedenen Formaten geführt werden – als Tabellenkalkulation, als Datenbank, als spezialisierte Datenschutzmanagementsoftware oder auch als strukturiertes Textdokument. Wichtig ist, dass das gewählte Format eine einfache Aktualisierung, eine übersichtliche Darstellung und eine schnelle Bereitstellung an die Aufsichtsbehörde auf deren Anforderung ermöglicht.

Besonderheiten für Auftragsverarbeiter

Auch Auftragsverarbeiter – also Unternehmen, die personenbezogene Daten im Auftrag eines anderen Verantwortlichen verarbeiten – sind nach Art. 30 Abs. 2 DSGVO zur Führung eines eigenen VVT verpflichtet. Der Inhalt des Auftragsverarbeiter-VVT unterscheidet sich dabei in einigen Punkten vom VVT des Verantwortlichen. Der Auftragsverarbeiter muss insbesondere den Namen und die Kontaktdaten des jeweiligen Verantwortlichen, für den er Daten verarbeitet, die Kategorien der im Auftrag durchgeführten Verarbeitungen, etwaige Drittlandtransfers und eine Beschreibung der technischen und organisatorischen Schutzmaßnahmen dokumentieren. In der Praxis agieren viele Unternehmen in einer Doppelrolle – sie verarbeiten sowohl eigene Daten als Verantwortlicher als auch fremde Daten als Auftragsverarbeiter – und müssen daher beide Arten von VVT-Einträgen führen.

Konsequenzen bei fehlendem oder mangelhaftem VVT

Ein fehlendes, unvollständiges oder nicht aktuelles VVT stellt einen Verstoß gegen Art. 30 DSGVO dar und kann von der zuständigen Datenschutzaufsichtsbehörde mit einem Bußgeld von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 lit. a DSGVO). In der Praxis ist das VVT häufig der erste Prüfpunkt bei einer behördlichen Kontrolle oder einer Anfrage der Aufsichtsbehörde. Ein sorgfältig geführtes und aktuelles VVT signalisiert der Behörde, dass das Unternehmen den Datenschutz ernst nimmt und über ein funktionierendes Datenschutzmanagementsystem verfügt. Umgekehrt kann ein fehlendes oder offensichtlich mangelhaftes VVT den Verdacht erwecken, dass auch andere Datenschutzpflichten im Unternehmen nicht ordnungsgemäß erfüllt werden, und intensivere behördliche Nachforschungen auslösen.

Fazit: Das VVT als Fundament des Datenschutzmanagements

Das Verzeichnis von Verarbeitungstätigkeiten ist weit mehr als eine bürokratische Pflichtübung – es ist das zentrale Steuerungs- und Dokumentationsinstrument für den gesamten Datenschutz im Unternehmen. Ein sorgfältig erstelltes, vollständiges und regelmäßig aktualisiertes VVT bildet das wichtige Fundament für die Erfüllung aller weiteren datenschutzrechtlichen Pflichten, von der Erstellung rechtssicherer Datenschutzhinweise über die Beantwortung von Betroffenenanfragen bis hin zur Durchführung von Datenschutz-Folgenabschätzungen. Unternehmen, die ihr VVT ernst nehmen und als lebendes Dokument pflegen, schaffen damit die Grundlage für einen rechtskonformen, transparenten und nachweisbaren Umgang mit den ihnen anvertrauten personenbezogenen Daten.

Das VVT als Grundlage für die Erfüllung weiterer DSGVO-Pflichten

Ein vollständiges und aktuelles VVT ist nicht nur eine eigenständige gesetzliche Pflicht, sondern bildet zugleich die wichtige Informationsgrundlage für die Erfüllung zahlreicher weiterer datenschutzrechtlicher Pflichten des Unternehmens. Die Erstellung rechtskonformer und vollständiger Datenschutzhinweise nach Art. 13 und Art. 14 DSGVO setzt voraus, dass das Unternehmen einen exakten Überblick über alle seine Verarbeitungstätigkeiten, deren Zwecke, Rechtsgrundlagen und Empfänger hat – genau diese Informationen liefert ein sorgfältig geführtes VVT. Ebenso ist die fristgerechte und vollständige Beantwortung von Auskunftsersuchen betroffener Personen nach Art. 15 DSGVO ohne ein aktuelles VVT in der Praxis kaum möglich, da das Unternehmen zunächst wissen muss, welche Daten es in welchen Systemen und zu welchen Zwecken verarbeitet, bevor es eine vollständige Auskunft erteilen kann. Auch die Durchführung von Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO baut inhaltlich auf den im VVT dokumentierten Informationen auf. Das VVT ist damit nicht nur ein Compliance-Dokument, sondern ein operatives und strategisches Werkzeug für das gesamte Datenschutzmanagement des Unternehmens, das bei konsequenter Pflege erheblichen organisatorischen und zeitlichen Aufwand bei der Erfüllung anderer Datenschutzpflichten einsparen kann.

Als externer Datenschutzbeauftragter unterstützen wir Unternehmen bei der Erstellung, Überprüfung und laufenden Pflege ihres Verzeichnisses von Verarbeitungstätigkeiten – kontaktieren Sie uns für eine unverbindliche Beratung.